Configuración del cortafuegos OPNsense

Elija el hardware: dos puertos de red como mínimo

OPNsense es una plataforma de enrutamiento y firewall construida sobre FreeBSD. Lo instala en su propio hardware (una PC de repuesto, una mini PC o un pequeño electrodoméstico) y se ubica entre su módem y su red, decidiendo qué tráfico puede pasar. El hardware debe ser una PC de 64 bits con al menos dos puertos de red: uno se convierte en WAN (lado de Internet) y el otro en LAN (su red). La guía oficial es aproximadamente 2 GB de RAM como mínimo, 4 GB o más para un uso cómodo y un SSD de 40 GB o más es suficiente para la mayoría de los hogares y oficinas pequeñas. Las tarjetas de red Intel son las preferidas porque sus controladores FreeBSD son los más confiables: los puertos Realtek baratos son la causa más común de caídas extrañas de la red. Las mini PC sin ventilador con dos puertos Intel son la opción popular a largo plazo: silenciosas y de bajo consumo.

Descarga la imagen oficial y verifica la suma de comprobación

Vaya a la página oficial de descarga de OPNsense en opnsense.org y elija un espejo cerca de usted. Para una instalación normal en PC desde un pendrive, elija la imagen VGA amd64 para USB; el nombre del archivo termina en -vga.img.bz2. VGA significa que se muestra en un monitor normal; la imagen de serie es para dispositivos sin cabeza con un cable de consola y el DVD ISO es para máquinas virtuales y medios ópticos. El archivo está comprimido, así que extráigalo primero (7-Zip maneja el formato .bz2). Luego verifique la descarga: la suma de verificación SHA-256 se publica junto a la imagen en la página de descarga; compárela con la suma de verificación del archivo descargado antes de escribir nada. Una suma de verificación coincidente demuestra que el archivo llegó completo y sin alteraciones.

Escribir la imagen en una memoria USB

Escriba la imagen extraída en un pendrive con un escritor de imágenes sin formato como balenaEtcher o Rufus en modo DD. Esto no es una copia de un archivo: el dispositivo se convierte en un instalador de arranque de FreeBSD y todo lo que ya contiene se destruye, así que use un dispositivo que no le interese; 4 GB o más son suficientes. Luego, conecte los cables antes de iniciar: el módem en el puerto que desea como WAN y una computadora portátil o conmutador en el puerto que desea como LAN. Inserte el dispositivo e inicie la PC desde USB (generalmente una tecla del menú de inicio como F8, F11 o F12 al encender); varía según la placa.

Instale OPNsense y establezca una contraseña raíz segura

El sistema en vivo arranca con un mensaje de inicio de sesión de la consola. Inicie sesión con el nombre de usuario installer y la contraseña opnsense y se iniciará el instalador. Acepte el mapa de teclas, elija Instalar, elija el disco de destino, verifíquelo dos veces, acepte el sistema de archivos predeterminado que ofrece el instalador y deje que copie el sistema. Cuando termine, reinicie y retire la memoria USB. En el primer arranque, la consola puede pedirle que asigne interfaces: elija qué puerto físico es LAN y cuál es WAN, y para una configuración normal de red única, responda no a las VLAN.

Durante la instalación, se le solicitará que establezca la contraseña de root: hágala larga y única, y guárdela en un administrador de contraseñas. Hasta que establezca la suya propia, un OPNsense nuevo seguirá respondiendo a la conocida contraseña predeterminada opnsense para la cuenta raíz, que cualquiera puede buscar. La instalación no finaliza mientras el valor predeterminado aún esté activo.

Primer inicio de sesión y asistente de configuración

Conecte una computadora portátil al puerto LAN. Debería recibir una dirección automáticamente, porque OPNsense ejecuta un servidor DHCP en la LAN de forma predeterminada, entregando direcciones en el rango 192.168.1.x. Abra la interfaz web en el navegador:

https://192.168.1.1

Your browser will warn about the certificate — that is expected on a fresh install, because the box created its own self-signed certificate; proceed to the site. Log in as root with the password you set during the install, and walk through the setup wizard: the hostname and your own local domain (pick a private name such as home.arpa, not a real public domain), DNS servers (or leave the defaults), the correct time zone — wrong time breaks certificates and makes logs useless — and the WAN type: DHCP for most home connections, PPPoE if your ISP gave you a username and password.

Configurar DHCP y DNS

Con el firewall activado, termine lo básico del día a día. El solucionador de DNS integrado de OPNsense (Unbound) está habilitado de forma predeterminada y es todo lo que la mayoría de las redes necesitan: sus dispositivos ya usan el firewall como servidor DNS. Lo que agrega manualmente es seguridad para los dispositivos que nunca deben moverse: las impresoras, un NAS y las cámaras obtienen mapeos DHCP estáticos, por lo que cada uno recibe siempre la misma dirección (en versiones recientes en Servicios → DHCP - Kea DHCP; ISC DHCP en las más antiguas). Las asignaciones estáticas también te permiten dar nombres locales a tus dispositivos, para que puedas acceder a ellos por nombre en lugar de memorizar números.

Acceso remoto de forma segura: solo VPN

Tarde o temprano querrás comprobar el firewall desde fuera. Hágalo de forma segura: la interfaz web y SSH son las claves de toda la red, por lo que nunca se abren directamente a Internet. La ruta segura es una VPN: primero conéctese a su red con una VPN y luego abra la interfaz web exactamente como si estuviera sentado en casa. Una contraseña segura por sí sola no es un sustituto: los escáneres encuentran una página de administración expuesta a Internet en cuestión de horas y la atacan las 24 horas del día.

Actualizar, hacer una copia de seguridad de la configuración y comenzar

Dos hábitos finalizan la configuración. Primero, las actualizaciones: una instalación nueva nunca está completamente actualizada y un firewall es exactamente el dispositivo que no debe ejecutar software antiguo; vaya a Sistema → Firmware y ejecute las actualizaciones. En segundo lugar, la copia de seguridad de la configuración: descárguela desde Sistema → Configuración → Copias de seguridad y mantenga el archivo fuera de la caja. Ese pequeño archivo reconstruye toda su configuración en minutos si el hardware alguna vez falla, así que haga una copia de seguridad nuevamente después de cada cambio significativo, no solo una vez. Y si alguna vez se queda fuera de la interfaz web por un error de configuración, la consola física es la red de seguridad: monitor y teclado en la caja, inicie sesión como root y corrija las direcciones de la interfaz o restablezca la contraseña desde el menú de la consola. Nunca vuelvas a instalarlo en pánico; la consola arregla casi todo.